Северокорейская группировка Lazarus связана с атаками программы-вымогателя Medusa.

[admin]

Поддерживаемые северокорейским государством хакеры, связанные с хакерской группировкой Lazarus, атакуют американские медицинские организации, используя программу-вымогатель Medusa.


Операция Medusa, предоставляющая услуги вымогательства (RaaS), началась в январе 2021 года, и к февралю 2025 года затронула более 300 организаций в различных секторах критической инфраструктуры. С тех пор эта группировка унесла жизни как минимум еще 80 жертв.


Ранее северокорейские хакеры связывались с другими разновидностями программ-вымогателей, такими как HolyGhost , PLAY , Maui , Qilin , а также с другими семействами вредоносного ПО . Однако это первый случай, когда исследователи в области безопасности связали этого злоумышленника с Medusa.

В сегодняшнем отчете компания Symantec, специализирующаяся на кибербезопасности для предприятий, сообщает, что подгруппа Lazarus, возможно, Andariel/Stonefly, в настоящее время использует Medusa для кибератак с целью получения финансовой выгоды, направленных на американские медицинские учреждения.


По словам исследователей, набор инструментов, использованных в этих атаках, также имеет некоторую связь с Diamond Sleet, другой северокорейской группировкой, которая обычно нацелена на медиа, оборонную и ИТ-отрасли.

Однако некоторые из утилит, использованных в атаках программы-вымогателя Medusa, являются обычными инструментами широкого потребления:

• Comebacker – погрузчик/загрузчик, связанный с Diamond Sleet (использовался компанией Diamond Sleet).
• Blindingcan – Троян удаленного доступа
• ChromeStealer – программа для извлечения учетных данных Chrome
• Инфохук – похититель информации
• Mimikatz – Инструмент для извлечения учетных данных
• RP_Proxy – Инструмент для создания пользовательских прокси-серверов
• Curl – инструмент для передачи данных

Исследователи отмечают, что для северокорейских хакеров нет запретных секторов, и они продолжают заниматься киберпреступностью ради финансовой выгоды.

«Хотя некоторые киберпреступные группировки утверждают, что избегают атак на медицинские организации из-за возможного ущерба репутации, Lazaurs, похоже, ничем не ограничена в своих действиях», — говорят исследователи Symantec .


Medusa атаковала множество медицинских и некоммерческих организаций в США, о чем свидетельствует информация на сайте этой группировки, где с начала ноября 2025 года зафиксировано четыре таких жертвы, среди которых образовательное учреждение для детей с аутизмом.


Однако не все эти атаки Medusa можно с уверенностью отнести к деятельности хакеров Lazarus. Medusa может требовать выкуп в размере до 15 миллионов долларов, но исследователи Symantec утверждают, что в среднем он составляет около 260 000 долларов.


Украденные средства используются для поддержки шпионских операций против организаций в оборонном, технологическом и государственном секторах США, Тайваня и Южной Кореи.


В своем отчете компания Symantec представила набор индикаторов компрометации (IoC), которые включают данные о сетевой инфраструктуре и хеши вредоносного ПО, используемого в атаках.